rats

对抗模型信息抽取与蒸馏的执行终结性架构

高能力 AI 模型可通过受治理的推理接口暴露具有商业、战略或技术价值的模型信息，包括 logits、log-probabilities、embeddings、中间表示、结构化响应及其他受保护输出。对此类信息的重复或自动化访问可能助长工业规模的模型提取、未授权能力复制或蒸馏，给高价值模型运营方带来重大知识产权、商业、安全或战略风险。本文档所解决的问题不是模型是否具备计算此类信息的技术能力，而是计算本身是否应构成发布该信息的授权。因此本文档将模型计算与外部披露分离：成功推理本身不构成发布授权。输出可被完整计算却仍作为非生效的 Candidate Release，尚不能跨越受治理的发布边界。Candidate Release 在相应发布条件被独立满足前保持非生效。该架构可包括针对发布的受保护验证、在需要时对防回滚提取状态的评估，以及有界发布授权的原子预留或消耗。受控的 Finality Sink 验证所需状态。

首提 (-00)

2026-08-31

最近版本

2026-09-13

版本数

4

篇幅

79 页

GPU 与加速器基础设施的证明绑定执行终结性

远程证明可确认 CPU、机密虚拟机、GPU、AI 加速器、DPU 或 SmartNIC 运行预期固件与软件配置，但可接受的 Attestation Result 只描述执行环境，不描述其后续发出的操作，无论输出源于预期逻辑、prompt injection 还是模型错误，结果都相同。随着 AI 工作负载走向 agentic 并迁移到机密加速器基础设施，其发出高后果操作，如金融转账、云控制变更、数据库删除和外部 API 调用，仅凭平台可信度无法判定具体操作是否被授权生效。OAuth 访问令牌、交易令牌和工作负载凭证本身无法弥补这一缺口：它们通常按 scope 和凭证持有情况授权，而非按单个操作的确切内容，也不要求受保护效果只能经由验证边界到达。本文档描述一种 attestation-bound execution-finality 架构，衔接平台评估与后果承载授权。有后果的操作以非生效状态作为 Candidate Act 产生，由 Execution-Finality Validator 评估该操作的安全相关参数。

首提 (-00)

2026-09-04

最近版本

2026-09-11

版本数

5

篇幅

114 页